Was kann ich tun, wenn ich nicht autorisierte Aktivitäten in meinem AWS-Konto feststelle?

Lesedauer: 6 Minute

Mir sind AWS-Ressourcen in der AWS-Managementkonsole aufgefallen, die mir nicht bekannt sind, oder ich habe eine Benachrichtigung erhalten, dass mein AWS-Konto möglicherweise kompromittiert ist.

Lösung

Wenn du vermutest, dass in deinem AWS-Konto nicht autorisierte Aktivitäten stattfinden, führe zunächst die folgenden Schritte aus, um nicht autorisierte Aktivitäten zu überprüfen. Korrigiere dann die nicht autorisierte Aktivitäten in deinem AWS-Konto. Sichere schließlich den/die Root-Benutzer:in des AWS-Kontos mithilfe der MFA-Multi-Faktor-Authentifizierung (MFA).

Hinweis: Wenn du dich nicht beim Konto anmelden kannst, findest du weitere Informationen unter Was mache ich, wenn ich mich nicht bei meinem AWS-Konto anmelden kann?

Prüfen, ob im Konto nicht autorisierte Aktivitäten stattgefunden haben

Um nicht autorisierte Aktionen zu identifizieren, erstelle Berichte über Anmeldeinformationen für das AWS-Konto, um die Passwörter oder Zugriffsschlüssel für jede AWS Identity and Access Management (IAM)-Identität im Konto zu überprüfen. Zeige dann die zuletzt aufgerufenen IAM-Informationen für die Benutzer, Benutzergruppen, Rollen und Richtlinien an, die kürzlich verwendet wurden.

Um nicht autorisierte Zugriffe oder Änderungen am Konto zu identifizieren, kannst du die Kontoaktivitäten bestimmter IAM-Benutzer, Rollen und AWS-Zugriffsschlüssel überwachen. Weitere Informationen findest du unter Wie behebe ich ungewöhnliche Ressourcenaktivitäten in meinem AWS-Konto?

Gehe wie folgt vor, um die Erstellung nicht autorisierter Ressourcen oder IAM-Benutzer zu identifizieren, einschließlich unerwarteter Services und Kontogebühren:

Erstelle einen Kosten- und Nutzungsbericht für dein Konto.
Erste Schritte mit Trusted-Advisor-Empfehlungen
Überprüfe die bewährten Methoden für die monatliche Abrechnung.
Hinweis: Du kannst auch AWS Cost Explorer verwenden, um die mit dem Konto verbundenen Gebühren und die Nutzung zu überprüfen.

Wenn du festgestellt hast, dass im Konto keine nicht autorisierten Aktivitäten stattfinden, sind keine weiteren Maßnahmen erforderlich.

Wenn du festgestellt hast, dass nicht autorisierte Aktivitäten stattfinden, fahre mit dem nächsten Abschnitt fort, um nicht autorisierte Aktivitäten in deinem AWS-Konto zu korrigieren.

Nicht autorisierte Aktivitäten im Konto korrigieren

Wenn du von AWS eine Benachrichtigung über unregelmäßige Aktivitäten im Konto erhalten hast, befolge zunächst die folgende Anleitung. Antworte anschließend auf die Benachrichtigung im AWS Support Center mit der Bestätigung der von dir durchgeführten Aktionen.

Offengelegte Kontozugriffsschlüssel aktualisieren

Überprüfe die vom AWS-Support gesendete Benachrichtigung über unregelmäßige Aktivitäten auf offengelegte Kontozugriffsschlüssel. Wenn du irgendwelche Schlüssel in der Liste siehst, gehe wie folgt vor:

Aktualisiere den AWS-Zugriffsschlüssel.
Deaktiviere den ursprünglichen Zugriffsschlüssel.
Wichtig: Lösche in diesem Schritt nicht den ursprünglichen Zugriffsschlüssel.
Stelle sicher, dass es keine Probleme mit der Anwendung gibt. Wenn Probleme auftreten, reaktiviere vorübergehend den ursprünglichen Zugriffsschlüssel, um das Problem zu beheben.
Wenn die Anwendung nach der Deaktivierung des ursprünglichen Zugangsschlüssels voll funktionsfähig ist, lösche den ursprünglichen Zugriffsschlüssel.
Lösche die Root-Benutzer-Zugriffsschlüssel für das AWS-Konto, die du nicht mehr benötigst oder nicht erstellt hast.

Weitere Informationen findest du unter Sichere Zugriffsschlüssel und Zugriffsschlüssel für IAM-Benutzer verwalten.

So aktualisierst du Anmeldeinformationen von IAM-Benutzern, die möglicherweise nicht autorisiert sind

Gehe wie folgt vor:

Öffne die IAM-Konsole.
Wähle im Navigationsbereich Benutzer aus.
Wähle den Namen des ersten IAM-Benutzers in der Liste aus.
Überprüfe auf der Seite Zusammenfassung des IAM-Benutzers auf der Registerkarte Berechtigungen im Abschnitt Berechtigungsrichtlinien, ob die AWSCompromisedKeyQuarantineV2-Richtlinie an den/die Benutzer:in angefügt ist.
Aktualisiere die Zugriffsschlüssel für den/die IAM-Benutzer:in.
Wiederhole die Schritte 2 bis 5 für alle IAM-Benutzer in deinem Konto.
Deaktiviere IAM-Benutzer, die du nicht erstellt hast.
Ändere die Passwörter für die IAM-Benutzer, die du erstellt hast.

Wenn du temporäre Sicherheitsanmeldeinformationen verwendest, findest du weitere Informationen unter Temporäre Sicherheitsanmeldeinformationen für IAM-Rollen widerrufen.

Den AWS-CloudTrail-Ereignisverlauf auf nicht autorisierte Aktivitäten überprüfen

Gehe wie folgt vor:

Öffne die AWS-CloudTrail-Konsole.
Wähle im Navigationsbereich die Option Ereignisverlauf aus.
Prüfe, ob es Aktivitäten gibt, die nicht genehmigt wurden, z. B. die Erstellung von Zugriffsschlüsseln, Richtlinien, Rollen oder temporären Sicherheitsanmeldeinformationen.
Wichtig: Stelle sicher, dass du die Ereigniszeit überprüfst, um festzustellen, ob die Ressourcen vor Kurzem erstellt wurden und der unregelmäßigen Aktivität entsprechen.
Lösche alle nicht genehmigten Zugriffsschlüssel, Richtlinien, Rollen oder temporären Sicherheitsanmeldeinformationen.

Weitere Informationen findest du unter Arbeiten mit dem CloudTrail-Ereignisverlauf.

Unbekannte oder nicht autorisierte Ressourcen löschen

Öffne die AWS-Managementkonsole und stelle sicher, dass es sich bei allen Ressourcen in deinem Konto um Ressourcen handelt, die du gestartet hast. Überprüfe und vergleiche unbedingt die Nutzung im Vormonat mit der im laufenden Monat. Stelle sicher, dass du in allen AWS-Regionen nach allen Ressourcen suchst, auch in Regionen, in denen du keine Ressourcen gestartet hast.

Informationen zum Löschen unbekannter oder nicht autorisierter Ressourcen findest du unter Wie entferne ich in meinem AWS-Konto aktive Ressourcen, die ich nicht mehr benötige?

Wichtig: Wenn du Ressourcen für Untersuchungen zur Verfügung haben musst, empfiehlt es sich, diese Ressourcen zu sichern. Wenn du beispielsweise aus regulatorischen, Compliance- oder rechtlichen Gründen eine Amazon Elastic Cloud Compute (Amazon EC2)-Instance beibehalten musst, erstelle einen Amazon-EBS-Snapshot, bevor du die Instance beendest.

Gesicherte Ressourcen wiederherstellen

Wenn du Services für die Aufrecherhaltung von Backups konfiguriert hast, stelle diese Backups aus ihrem zuletzt bekannten, unkompromittierten Zustand wieder her.

Gehe wie folgt vor, um bestimmte Typen von AWS-Ressourcen wiederherzustellen:

Wiederherstellung eines Amazon-EBS-Volumes oder einer EC2-Instance
Wiederherstellung in einem DB-Snapshot bei Amazon Relational Database Service (Amazon RDS)-Instances
Wiederherstellung früherer Versionen bei Amazon Simple Storage Service (Amazon S3)-Objektversionen

Kontoinformationen überprüfen

Überprüfe, ob alle folgenden Informationen in deinem Konto korrekt sind.

Wenn du die Kontoinformationen aktualisieren musst, gehe wie folgt vor:

Hinweis: Weitere Informationen zu den bewährten Methoden für Kontosicherheit findest du unter Was sind bewährte Methoden zum Schutz meines AWS-Kontos und seiner Ressourcen?

Root-Benutzer des Kontos mit MFA sichern

Es hat sich bewährt, die Multi-Faktor-Authentifizierung (MFA) zu aktivieren, da der/die Root-Benutzer:in des AWS-Kontos privilegierten Zugriff auf AWS-Services und -Ressourcen hat. MFA bietet einen zweiten Authentifizierungsfaktor für die Anmeldeinformationen und reduziert das Risiko, dass das Passwort kompromittiert wird. Du kannst bis zu acht MFA-Geräte für jede(n) IAM-Benutzer:in mit Zugriff auf die AWS-Managementkonsole aktivieren.

Hinweis: Die MFA-Aktivierung für Root-Benutzer wirkt sich nur auf die Anmeldeinformationen von Root-Benutzern aus. IAM-Benutzer im Konto sind gesonderte Identitäten mit eigenen Anmeldeinformationen, und jede Identität hat ihre eigene MFA-Konfiguration.

Informationen zur Aktivierung von MFA findest du unter Die Root-Benutzeranmeldung mit MFA sichern und AWS Multi-Faktor Authentifizierung in IAM.